Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
I ricercatori di sicurezza di Cysource hanno descritto una vulnerabilità che ha consentito l’uso della piattaforma VirusTotal per eseguire codice da remoto su macchine sandbox non aggiornate su cui sono installati motori antivirus.
Come hanno spiegato i ricercatori, la vulnerabilità ora corretta permetteva di “eseguire comandi da remoto attraverso la piattaforma VirusTotal e accedere alle sue varie funzioni di scansione”.
VirusTotal, un servizio di una sussidiaria di Google Chronicle, ed è uno scanner di malware che analizza file e URL sospetti e verifica la presenza di virus utilizzando da oltre 70 prodotti antivirus di terze parti.
L’attacco prevede il download di un file DjVu attraverso un’interfaccia utente web, che viene poi passata a una varietà di motori antivirus di terze parti e può sfruttare una vulnerabilità di esecuzione di codice in modalità remota molto pericolosa in ExifTool, un’utilità open source per leggere e modificare i metadati EXIF in immagini e file PDF.
La vulnerabilità CVE-2021-22204 esisteva a causa di un’errata elaborazione dei file DjVu da parte dell’utilità ExifTool ed è stata risolta il 13 aprile 2021.
Come risultato dello sfruttamento della vulnerabilità, i ricercatori sono stati in grado di installare una reverse shell sui computer interessati associati ad alcune soluzioni antivirus su cui non era installata la patch.
Il problema non riguarda la piattaforma VirusTotal stessa, che funziona esattamente come dovrebbe. L’esecuzione del codice non avviene sulla piattaforma, ma in sistemi di scansione di terze parti che analizzano ed eseguono campioni. VirusTotal attualmente utilizza una versione invulnerabile di ExifTool.
